Cómo reducir los permisos de una conexión ya existente

Obtén el alcance efectivo y sus consumidores

Identifica identidad, conexiones compartidas, concesiones de acceso y recursos afectados. Revisa qué operaciones están previstas por el negocio y cuáles aparecen en el uso observado. No retires una capacidad solo porque no se utilizó durante una semana: puede corresponder a un cierre mensual o una excepción vigente. Asigna dueño a cada necesidad y registra las que nadie puede justificar para revisarlas antes del cambio.

Diseña el permiso mínimo compatible

Separa lectura, modificación, envío y borrado, y limita recursos cuando el proveedor lo permita. Microsoft Graph diferencia permisos delegados y de aplicación; en acceso delegado intervienen también los permisos del usuario. Una aplicación sin usuario puede tener un alcance mucho mayor con un nombre de permiso parecido. Consulta la documentación de las operaciones concretas y sus alternativas. Si un conector agrupa facultades, documenta esa limitación en vez de prometer una granularidad que no ofrece.

Cambia con una ruta de recuperación definida

Prepara la configuración reducida en prueba y valida los procesos ordinarios y las tareas poco frecuentes. Si es posible, usa una conexión separada para aislar el ensayo; evita dejar ambas activas indefinidamente. Planifica cómo retirar permisos o consentimientos anteriores y cómo obtener nuevas autorizaciones según el proveedor. Las sesiones o tokens existentes pueden tener su propia vigencia, así que verifica el acceso después del cambio con autenticación nueva.

Comprueba lo que debe fallar

Ejecuta una consulta permitida y una acción que ya no debe estar autorizada, utilizando datos de ensayo. El éxito de la primera demuestra continuidad; la denegación de la segunda demuestra reducción. Repite en un recurso fuera del alcance permitido y revisa el registro del destino. Conserva antes y después, evidencias y dependencias revisadas. Si una tarea necesita recuperar un permiso, exige una justificación concreta en lugar de volver al rol amplio original por comodidad.

Fuentes y documentación

• Microsoft Learn — Permisos de Microsoft Graph — Distingue acceso delegado de acceso de aplicación; un permiso de consulta no equivale a envío.
• Microsoft Learn — Proteger entidades de servicio — Identidad, privilegios, custodia y seguimiento de inicios de sesión de la aplicación.